Re: Примитивная защита от фишинга

[tenshi]

а чем встроенная «защита» не угодила?

[m17]

Встроенная действует на основы базы «плохих» сайтов, которую не всегда оперативно пополняют. Собственно, топик на который я сослался, этим несовершенством и был порождён.

[zencd]

Это универсальный подход. Работает всегда.

Гугл и компания не всегда (бывает что и «никогда») успевают обновить базы к моменту когда я вижу фишерскую ссылку.

[zencd]

Не ну списки это не дело. Тем более что случай с Народ.Диском простейший — сравнивать только хосты и всё.

Респект. Хорошо бы, только, в Мозилле это внедрили :-).

[m17]

narod.ru/disk/4812122000/fishurl-svn10.xpi.html
01.dl14sd-narod.yandex.ru/disk/4812122000/he9f1b5cf7c143e9e9b22708d7b003a1a/fishurl-svn10.xpi

Первое — текст, второе — URL, напрямую с таким срабатыванием не побороться.

[zencd]

У меня по другому:
1) narod.ru/disk/4812122000/fishurl-svn10.xpi.html и
2) narod.ru/disk/4812122000/fishurl-svn10.xpi.html#

Разница только в амперсанде. Тем не менее перечёркнуто.

[m17]

В том и дело, вы никуда не перешли, остались там же, а попробуйте согласиться и посмотрите на URL.

[zencd]

Окей. Предлагаю такой алгоритм, а то мы с вами плохо друг друга понимаем:

1) Сделайте тестовый файлик с ссылкой, отличающейся от текста лишь на «решётку»
2) Убедитесь что ссылка перечёркнута
3) Подумайте «а стоит ли оставлять это как есть?»
4) Почините (это и далее — опционально)
5) Снова зайдите на Яндекс — не изменилось ли чего.

(А тот длинный урл вообще в HTML не светится.)

[m17]

Ну вот, взгляните. Вероятно вы видите ошибку именно так, а не иначе, потому что к ссылочке дорисовывалась # при нажатии.

[zencd]

Ааа. Вы подменяете ссылку… Ну что же, тоже не самый гуд: мне предлагают пеерйти или не перейти по ссылке, но по какой — скрывают. Полагаю, можно свой лисенер повесить, не теряя href'а.

Ну да, тогда против белого списка ничего не имею :-)

[m17]

Процитирую себя:
«Так же, в href кладётся «#» (а начиная с версии svn11 вообще href убирается), дабы пользователь не перешёл по ссылке перетягивая её (с помощью какого-нибудь расширения вроде QuickDrag).»

Ах, да пожалуйста, расскажем мы вам и по какой ссылке :) Ждите следующую версию!

[m17]

fishurl-svn12.xpi

На здоровье!

[zencd]

Если нажать Cancel в диалоге «хотите попробовать», то всё равно что-то дальше продолжает грузиться. Полагаю, не так задумывалось.

[m17]

По ссылке не должно переходить, максимум «нажать» на якорь (#).

[zencd]

Just a fact.

[m17]

По заявкам читателей, теперь даже по якорю на клацает:

item.removeAttribute(«href»);
item.setAttribute(«rel», «nohref»);

Через пару минуток загружу версию svn11.

[m17]

Не* клацает, простите, опечатался.

Rev11 прибыла, в топике уже исправил.

[jeje]

Глупо, для таких ссылок есть status bar, который показывает куда она ведет. А если в ссылке написано Вконтакте, как тогда сравнивать? :)

[m17]

Будьте добры, прочтите вот этот топик, загляните там в комментарии, и поймёте откуда что взялось и почему такой вариант не рассматривается. А данный топик — уже реализация идеи!

[jeje]

99% такое устанавливать не будут, а те кто знают — внимательно относятся к такому делу.

[zencd]

Ловко вы распилили аудиторию — чёрные/белые.

А ведь тем кто «внимательно относится к делу» тоже непрочь попользоваться благами автоматизации.

[jeje]

что чаще всего подделывают, адреса к соц сетям, вы цените ваши соц сети? я лично мало.

[jeje]

а сейчас иногда урл прокручивают через сервисы tinyurl

[zencd]

Дык никто и не говорит что реализация идеальна :-). Проблемы есть, и немалые — Мозилла такое не прикрутит, я теперь понял.

Кстати когда юзают тиниурлы, то редко ссылку оставляют оригинальной, по моим наблюдениям.

[m17]

Очевидно, ссылку не оставят оригинальной, иначе вообще теряется всякий смысл использования подобных сервисов, это просто абсурдно :)

[zencd]

Автор, плагин полезный! Хотя без вайт-листа не обойтись (поэтому Мозилла эту функциональность не внедрит).

Но по-моему стоит выражать более снисходительно к подозреваемым ссылкам ;-) Ну и добавить в addons.mozilla.org

[m17]

Спасибо! Я думал над этим, действительно, не стоит так навязчиво себя вести, надо каким-то образом просто рядом выводить оба URL для таких ссылок, с сообщением о подозрении, но так, чтобы это не приводило к лишним кликам.

Whitelist действительно нужен, есть ресурсы которые именно так с ссылками и работают.

И ещё, идея. Ведь на множестве сайтов есть скрипт который «выпускает наружу»:

proto://host/linkto?url=http://goodhost/ololo

На данный момент такие ссылки считаются «плохими», необходимо обрабатывать такие случаи.